漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-040941
漏洞标题：蜘蛛网平行权限可删除他人收货地址
相关厂商：蜘蛛网
漏洞作者： M0nster
提交时间：2013-10-25 10:59
修复时间：2013-12-09 10:59
公开时间：2013-12-09 10:59
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-10-25： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-12-09： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
对删除收货地址操作未认证，通过遍历ID可删除所有用户收货地址
详细说明：
用这个来获取删除post请求
这个就是删除收货地址的post请求 这里是我收货地址的ID
获取到另一个帐号的收货地址ID
漏洞证明：
填入他人收货地址ID，删除成功
这个ID是有规律的，通过遍历可以删除所有用户的收货地址。
还发现了这个收货地址是可以随意更改的，而且可重复。就是可以有多个相同ID的收货地址，删除一个其他相同ID也相应被删除
测试相同收货地址ID
收货ID被我改为123456
把这个收货ID也改为123456
现在这两个帐号有相同的收货ID
删除一个帐号的地址，另一个帐号的也没了
修复方案：
权限认证
版权声明：转载请注明来源 M0nster@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝